市立奈良病院のシステム障害（サイバー攻撃疑いで電子カルテを切り離し救急約53時間停止、検証の結果はネットワーク監視装置の過検知・自動遮断と判明）
公表日
市立奈良病院で、サイバー攻撃を疑って電子カルテを止め、救急の受け入れを約53時間停止しました。調査の結果、原因は攻撃ではなく、ネットワークを見張る装置の誤作動でした。
何が起きたのか
2026年4月21日の夜、病院のネットワークを見張る装置が「異常な通信」を検知し、自動で通信を遮断しました。その後も警報が続いたため、病院はサイバー攻撃の可能性があると判断し、電子カルテを切り離しました。救急の受け入れを約53時間止め、外来の予約約500件と予定手術18件を延期しました。診療は手書きと二重チェックで続けられました。
なぜ起きたのか・なぜ広がったのか
市の専門家会議の調査で、外部からの攻撃ではなかったことが分かりました。見張り装置のソフトが自動で更新された結果、監視する機器の数が約3倍に増え、普段どおりの通信まで「異常」と判定するようになりました。その判定に自動遮断が連動して、システムが止まりました。情報の漏えいや改ざん、ウイルス感染の痕跡はありませんでした。
いまの状況2026-08-31 時点
4月24日に通常診療を再開し、5月13日にすべてのシステムが復旧しました。再発防止として、見張り装置の自動更新を止め、更新後に通信状況を確かめる手順に改めています。
企業として考えたいこと
守るための仕組みが、誤って業務を止めることもあります。誤作動で止まったときに、誰がどう判断して元に戻すかは決まっているでしょうか。
技術的な要約
2026年4月21日22時15分、市立奈良病院のネットワーク監視装置がリモート保守用中継端末の通信を異常と判定して自動遮断し、その後約5時間で眼科・生体検査・電子カルテ本番系・医事サーバー等に計13件の警報が連鎖した。病院は外部からのサイバー攻撃の疑いとして電子カルテの仮想サーバー群を物理的に切り離し、4月22日午前3時から救急受入れを全面停止、外来も原則制限して紙運用に切り替えた。厚生労働省の支援チームの協力で4月23日20時に電子カルテ本番系を再稼働し、4月24日8時30分に通常診療を再開（救急停止は約53時間、外来予約約1,500件中約500件・予定手術56件中18件が延期）、5月13日にオンライン資格確認を含め全面復旧した。奈良市の専門家会議は8月31日の報告書で、外部からの攻撃ではなく、4月21日夜の監視装置ソフトウェア自動更新・再起動を契機に監視対象が633台から1,954台に増え、学習済みパターンから外れた正常通信を異常と判定した過検知に自動遮断が連動した障害と結論づけた。改ざん・漏えい・ウイルス感染・バックドアの痕跡は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認侵入は確認されていない。当初は『外部からのサイバー攻撃と思われる異常な通信を検知』（病院・奈良市）と公表され、警察もウイルス感染の可能性として捜査したと報じられたが、5/1に侵害を示す所見がないことを確認。奈良市の専門家会議報告書（8/31）は、外部からのサイバー攻撃ではなく、ネットワーク監視装置（院内通信の平常パターンを学習し逸脱を異常判定する方式、製品名非公表）の過検知に自動遮断機能が連動した障害と結論づけた。契機はベンダー推奨に従い4/7に手動→自動へ戻した監視装置ソフトウェア更新の4/21夜の自動更新・再起動とみられ、それまで十分に監視されていなかった院内通信が再び監視対象となり（監視対象633台→1,954台）、学習パターンから逸脱と判定された。最初に遮断されたのはリモート保守用中継端末からの通信。一方で検証では、外部から接続できる経路や不要なVPNの残存、保守用アカウントの未整理、管理者権限の限定不足など、実際の侵入リスクとなる不備も指摘された。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 電子カルテが入力・閲覧とも不能となり、処方・処置は手書きと二重チェックで継続。救急受入れを4/22 3:00から全面停止（約53時間）、外来は4/22〜4/23原則制限（緊急性の高い継続受診等を除く）、入院予約・手術を延期。外来予約約1,500件のうち約500件、予定手術56件のうち18件が延期。院内で予約状況を把握できず全患者への連絡ができない状態も生じた。4/23 20:00に電子カルテ本番系再稼働（奈良市第2報は同日22時に病棟で部分再開と記載）、4/24 8:30に外来・入院・救急を含む通常診療を再開。オンライン資格確認は5/13に復旧するまで停止が続き、受付・会計で待ち時間が発生。期間：救急受入れ停止 約53時間（4/22 3:00〜4/24 8:30）、外来制限 4/22〜4/23、全システム完全復旧まで約3週間（4/21〜5/13）
- データ
- なし上限 —確定 0奈良市第2報（4/23）で個人情報の漏えい・データ破損・ウイルス感染は確認されていないと公表。専門家会議報告書（8/31）でも患者情報や診療記録の改ざん・漏えい、ウイルス感染、バックドア設置を示す痕跡は確認されなかった。バックアップ用サーバーへの被害も確認されていないと報道。
- 波及先
- —
- 救急搬送の受入れ停止中は消防局・近隣医療機関と連携して対応（報道）
- 金銭影響
- —
- サプライチェーン
- 外部からの侵害ではない。ただし障害の契機は、ベンダー推奨に従って自動更新に戻したネットワーク監視装置のソフトウェア更新であり、監視装置事業者・電子カルテ事業者との間で更新影響の確認や自動遮断の適用条件が整理されていなかった点が指摘された。奈良市は国に対し、ベンダー側のセキュリティ更新の義務化と、設定変更・動作確認に伴う検証費用への財政支援を要望している。
時系列
- 2026-04-07ネットワーク監視装置のソフトウェア更新設定を、手動からベンダー推奨の自動更新に戻す（導入後しばらくして手動に変更し、手動運用中は更新未実施）5
- 2026-04-21 22:15
- 2026-04-21 23:0423:04〜23:46に眼科システムでも異常通信を検知・自動遮断。病院は被害拡大防止のため物理的隔離に着手5
- 2026-04-22 01:00生体検査システムでも同様に検知・自動遮断5
- 2026-04-22 03:00
- 2026-04-22
- 2026-04-22 14:00厚生労働省の支援チームが到着しログ分析等を開始5
- 2026-04-22 15:00病院が第2報（その2）。救急全面停止・外来原則制限の継続、手書き運用と二重チェック、お薬手帳持参を案内。警察・専門ベンダーとログ解析中で個人情報漏えいは確認されていないと説明7
- 2026-04-23 20:00
- 2026-04-23
- 2026-04-24 08:30
- 2026-05-01侵害を示す所見がないことを確認5
- 2026-05-13 12:00
- 2026-05-14
- 2026-06-02
- 2026-06-30専門家会議が電子カルテシステム事業者をヒアリング（7/2 監視装置事業者、7/13 市立奈良病院）5
- 2026-08-31専門家会議 第2回。奈良市が報告書概要版を公表し、原因を外部攻撃ではなく監視装置の過検知と自動遮断の連動による障害と結論。再発防止策と国への要望を提示5
技術解説
何が起きたか：自動更新→監視対象の急増→過検知→自動遮断の連鎖 事実
奈良市報告書によれば、院内ネットワークの監視装置は平常時の通信パターンを学習し、そこから大きく外れた通信を『異常』と判定して自動遮断する方式で運用されていた。病院は導入後しばらくして監視装置ソフトウェアの更新を手動に切り替えたが、手動運用中は更新を一度も実施しておらず、4/7にベンダー推奨の自動更新へ戻した。4/21夜の自動更新・再起動を契機に、それまで十分に監視されていなかった院内通信が監視対象に戻り（633台→1,954台）、学習済みパターンに無い通信として次々に異常判定された。22:15のリモート保守用中継端末を皮切りに眼科・生体検査・電子カルテ本番系・医事サーバーへと遮断が連鎖し、約5時間で13件の警報に達した。過去の監視状態の変化の原因は、ログ保存期間の制約で特定できなかった。
被害が大きくなった理由：『攻撃の疑い』の下での安全側判断 解釈
保守用中継端末からの通信が最初に遮断され、その後数時間で基幹系へ警報が広がるパターンは、リモート保守経路からの侵入とランサムウェア展開の典型的な初期兆候と見分けがつかない。2022年の大阪急性期・総合医療センターの事例（保守VPN経由、完全復旧まで約2か月）を知る病院が、深夜に電子カルテ仮想サーバー群を物理切断し救急を止めたのは合理的な判断だった。実際の停止を長引かせたのは、攻撃でないことを示す根拠を短時間で揃えられなかった点にある。監視対象数の急増や更新履歴を即座に確認する手順、遮断解除の判断基準、段階的復旧手順がなく、報告書もそれらの整備を求めている。結果として救急約53時間停止、外来予約約500件・予定手術18件の延期という、実害のある攻撃と同等の診療影響が生じた。
検証で露呈した『本物の攻撃に対する』弱点 事実
報告書は原因を過検知としつつ、外部から接続できる経路や不要なVPNの残存、保守用アカウントの未整理、旧来の機能・設定、管理者権限の限定・利用者の個別識別・多層防御の不足を指摘した。最初に遮断された機器がリモート保守用中継端末だった点も含め、医療機関で多発しているベンダー保守経路からの侵入に対する露出がそのまま残っていたことになる。また『一部の院内通信が過去一定期間、監視不能または通信量低下の状態にあった可能性』は、監視装置が導入されていても見えていない範囲があったことを意味する。今回たまたま攻撃ではなかったが、監視の欠落期間に本物の侵入があれば検知できなかった可能性がある。
公表と判定の扱い 解釈
病院・奈良市の初期発表は『サイバー攻撃の疑い』で、各報道もその前提で報じた。攻撃でなかったことは5/1に内部的に確認されたが、5/14の病院の完全復旧告知は原因に触れず、市の報告書（8/31）で初めて明示された。事案の性質はセキュリティ製品の誤動作による可用性障害であり、台帳上は attack_types を『その他』、侵入なしとして記録する。深さは、診療が止まったものの救急停止約53時間・外来制限2日で規模ゲートG3（中核業務7日以上停止）を満たさず②は数えない。被害組織が医療機関であるため⑥bでAとした。
対応
- 封じ込め
- 異常検知後に眼科システム等の物理的隔離、4/22未明に電子カルテ仮想サーバー群をネットワークから物理切断。災害対策本部を設置し救急停止・外来制限・紙運用（手書き＋二重チェック）へ移行。厚労省支援チームによるログ分析、警察・専門ベンダーと連携。安全確認済み端末から段階的に復旧（4/23 20:00本番系再稼働、4/24 8:30通常診療、5/13全面復旧）。再発防止として監視装置の自動更新を停止し手動更新＋更新後の通信状況確認、不要VPN等外部接続経路の閉鎖、保守用アカウントの棚卸し、管理者権限・保守接続・端末防御の強化を次期システム更改に反映。自動遮断は維持しつつ適用条件を明確化。
- 公表の仕方
- 4/22 病院『電子カルテシステムに大規模障害』（その1）・同15時その2、奈良市第1報（サイバー攻撃の疑い）、市長がSNSで早期発信。4/23 奈良市第2報（漏えい・感染確認されず）。5/14 病院が完全復旧を公表（原因は未記載）。8/31 奈良市が専門家会議の報告書概要版を公表し、過検知と自動遮断の連動による障害と説明。
- 当局対応
- 厚生労働省：4/22に支援チームを派遣（行政処分ではなく支援）
- 警察：病院が連携（院内システムのウイルス感染の可能性として捜査と報道）
- 奈良市：外部有識者による医療情報セキュリティ専門家会議を設置（6/2、8/31）。病院に実施計画の提出を求め、診療制限等の重大事態は時間帯を問わず市へ即時報告するルール化を表明
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| セキュリティ製品の更新設定を変更した際の影響確認がなかった | 監視装置・EDR等の更新は変更管理の対象とし、更新前後で監視対象数・アラート件数・遮断件数を記録して比較する。監視対象数が閾値（例：±20%）を超えて変動したら自動遮断を一時的に検知のみモードに落とし、担当者承認を経て戻す |
| 自動遮断の適用範囲が基幹系（電子カルテ・医事）まで無条件に及んだ | 自動遮断はゾーンごとにポリシーを分け、電子カルテ本番系・医事系は『隔離候補を通知→当直責任者が承認』の半自動にする。遮断が短時間に複数ゾーンへ連鎖した場合のエスカレーション先と判断基準を事前に定める |
| 攻撃か誤検知かを短時間で切り分ける材料（ログ・変更履歴）が揃わなかった | 監視装置・FW・認証・電子カルテのログを最低1年保持し、重大事象時は設定変更履歴・更新履歴と合わせて即時保全する。初動チェックリストに『直近の更新・設定変更の有無』『監視対象数の増減』を入れる |
| 監視装置が導入されていても一部通信が長期間監視不能だった | 監視の健全性（監視対象数、センサー受信量、学習状態）をダッシュボード化し、急減・急増や反復アラートは週次でベンダーに照会する。監視の欠落自体をアラート対象にする |
| リモート保守経路・不要VPN・保守用アカウントが残存していた | ベンダー保守接続を一覧化し、常時接続を廃止してオンデマンド接続（申請・期限付き・MFA必須・操作録画）に統一。保守用アカウントは個人別に発行し共有IDを廃止、未使用アカウントは自動無効化する |
| 診療継続計画が『攻撃の疑い』時の停止判断に依存していた | 電子カルテ停止時の紙運用（処方・検査・会計）と救急受入れの再開条件をBCPに明文化し、予約情報のオフライン複製（日次で印刷またはスタンドアロン端末へ出力）を保持して全患者への連絡を可能にする |
自組織などでの確認項目
- 自社のEDR/NDR/IPSで自動遮断を有効にしている範囲はどこまでか。それが基幹系に誤って連鎖したとき、誰が何分以内に解除を判断できるか。
- セキュリティ製品のアップデートを『ベンダー推奨だから』自動にしている設定はないか。更新後に監視状態が変わったことに気づける仕組みはあるか。
- 異常検知が出たとき、『本物の攻撃』と『自社の変更による誤検知』を切り分けるために最初の1時間で確認すべき項目を挙げられるか。
- この病院の検証で見つかった不要VPN・保守用アカウントと同じものが、自社環境にいくつ残っているか。
未解明点
- ネットワーク監視装置の製品名・方式と、ベンダー側の更新内容（なぜ更新で監視対象が約3倍になったか）
- 13件の警報の内訳と、各遮断の対象通信
- 一部の院内通信が監視不能・通信量低下だった期間と原因
- 診療制限に伴う減収や対応費用などの財務影響
- 閉鎖された不要VPN・整理された保守用アカウントの数と、次期システム更改（2026年12月の電子カルテ更新予定と病院が告知）での反映内容
出典
- 1市立奈良病院2026-04-22公式本文確認済
- 2奈良市2026-04-23公式本文確認済
- 3市立奈良病院2026-05-14公式本文確認済
- 4奈良市2026-06-02公式本文確認済
- 5奈良市2026-08-31公式本文確認済
- 6セキュリティ対策Lab（Rocket Boys）2026-04-22報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-04-23報道本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-04-24報道本文確認済
- 9ScanNetSecurity2026-04-27報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-05-19報道本文確認済